Sécurité industrielle
Cybersécurité OT : protéger les systèmes industriels et les appareils qui les composent
La cybersécurité OT protège les technologies opérationnelles : les systèmes et appareils programmables qui surveillent et commandent des processus physiques, comme les automates programmables (PLC), les contrôleurs industriels, la gestion technique des bâtiments et les robots. Contrairement à l’informatique de bureau, la disponibilité et la sécurité passent en premier : chaque mesure est donc choisie de manière à ne pas perturber le processus.
Offre Free, sans carte bancaire.
Qu’est-ce que la technologie opérationnelle ?
Le NIST SP 800-82 Rev. 3, le guide américain de la sécurité OT publié en septembre 2023, décrit l’OT comme un large éventail de systèmes et d’appareils programmables qui interagissent avec l’environnement physique, ou qui gèrent des appareils qui le font. Ses exemples comprennent les systèmes de contrôle industriels, la gestion technique des bâtiments, les systèmes de transport et le contrôle d’accès physique.
Les systèmes de contrôle industriels ont longtemps été isolés, ont fonctionné pendant des décennies et parlaient des protocoles propriétaires. Beaucoup sont aujourd’hui connectés à des réseaux d’entreprise, à des services cloud et à des outils de maintenance à distance, et de nombreux contrôleurs, passerelles et pupitres opérateur exécutent des logiciels commerciaux ou open source, dont Linux embarqué. Cette connectivité fait entrer dans l’usine les vulnérabilités propres à l’informatique.
En quoi la sécurité OT diffère de la sécurité IT
Les mêmes techniques d’attaque fonctionnent dans les deux mondes, mais les priorités diffèrent. Le guide du NIST traite la sécurité OT en tenant compte de ses exigences propres de performance, de fiabilité et de sécurité, ce qui explique que les outils et les habitudes de l’informatique ne puissent pas simplement être transposés dans une usine.
| Aspect | IT de bureau | OT |
|---|---|---|
| Première priorité | Confidentialité et intégrité des données | Disponibilité et sécurité du processus physique |
| Mises à jour | Régulières, souvent automatiques | Planifiées autour de la production ; certains systèmes ne peuvent pas être mis à jour rapidement |
| Durée de vie | Quelques années | Souvent bien plus longue, parfois des décennies |
| Tests | Généralement possibles sur des systèmes en production | Les analyses actives peuvent perturber les contrôleurs ; les tests se font en environnement de test ou de manière passive |
| Changement | Fréquent | Strictement contrôlé, souvent avec une nouvelle validation de la sécurité |
Les principaux risques de la cybersécurité OT
La plupart des incidents OT commencent par des faiblesses bien connues. Les recommandations pour les systèmes industriels pointent toujours les mêmes :
- Des réseaux à plat, où un attaquant qui atteint le réseau de bureau peut aussi atteindre les contrôleurs.
- Un accès à distance pour les fournisseurs et la maintenance qui contourne les mesures de sécurité.
- Des identifiants par défaut ou partagés sur les contrôleurs, les pupitres opérateur et les postes d’ingénierie.
- Des vulnérabilités connues dans des systèmes d’exploitation, des firmwares et des composants tiers obsolètes qui restent sans correctif pendant des années.
- Des protocoles industriels conçus sans authentification, si bien que n’importe qui sur le réseau peut envoyer des commandes.
- Une visibilité limitée : pas d’inventaire complet des actifs, des versions de firmware et des composants logiciels qu’ils contiennent.
IEC 62443 : le référentiel de la cybersécurité OT
La série ISA/IEC 62443, élaborée par le comité technique 65 de l’IEC avec le comité ISA99, est le référentiel international de la sécurité des systèmes d’automatisation et de commande industriels. Elle organise la sécurité par rôle : le propriétaire d’actifs qui exploite l’usine, l’intégrateur qui construit le système et le fournisseur de produits qui fabrique les composants.
Pour les exploitants, les parties consacrées au système définissent les zones et conduits, l’appréciation des risques et les niveaux de sécurité. Pour les fabricants de produits, l’IEC 62443-4-1 fixe les exigences d’un cycle de vie de développement sécurisé et l’IEC 62443-4-2 les capacités de sécurité techniques de composants comme les contrôleurs, les capteurs et les passerelles. Le guide sur l’IEC 62443 de ce site présente la série en détail.
La place du firmware et de la chaîne d’approvisionnement logicielle
Chaque contrôleur, passerelle, pupitre opérateur et PC industriel exécute un firmware construit à partir de composants, souvent des bibliothèques open source, un noyau Linux et des services réseau. Lorsqu’une vulnérabilité est publiée dans l’un de ces composants, l’exploitant et le fabricant se posent la même question : quels produits et quelles versions la contiennent ?
C’est pourquoi un SBOM (nomenclature des logiciels) par version de firmware devient une demande courante des clients industriels. L’IEC 62443-4-1 demande aux fournisseurs de produits de gérer les défauts de sécurité et les mises à jour de sécurité, et le règlement européen sur la cyberrésilience exigera des fabricants de produits comportant des éléments numériques, dont de nombreux composants industriels, qu’ils établissent un SBOM et traitent les vulnérabilités pendant toute la période d’assistance.
Premières étapes d’un programme de cybersécurité OT
La plupart des référentiels commencent au même endroit : savoir ce que l’on a, puis réduire les moyens d’y accéder.
- Constituer un inventaire des actifs qui comprend les versions de firmware et, lorsqu’ils sont disponibles, les composants logiciels de chaque appareil.
- Segmenter les réseaux en zones et contrôler les conduits entre elles, comme le décrivent l’IEC 62443-3-2 et 3-3.
- Contrôler et journaliser l’accès à distance, et supprimer les identifiants par défaut.
- Suivre les vulnérabilités qui touchent vos appareils, à partir des avis des fournisseurs et du catalogue CISA KEV, et planifier les mises à jour autour de la production.
- Demander aux fournisseurs des SBOM, des engagements de mises à jour de sécurité et un contact pour la divulgation des vulnérabilités.
Disponible aujourd’hui dans KROMSE
KROMSE ne surveille pas les réseaux OT, ne découvre pas les actifs d’une usine et n’inspecte pas les protocoles industriels. Il analyse les logiciels et le firmware basé sur Linux des appareils que vous fabriquez ou exploitez.
- Des images firmware basées sur Linux jusqu’à 512 Mo, extraites de manière récursive, dont les paquets sont confrontés à OSV.dev et les binaires rapprochés hors ligne de données de vulnérabilités fondées sur la NVD.
- Les images chiffrées, ainsi que les firmwares bare-metal ou RTOS sans système de fichiers, sont signalés comme non analysables plutôt que comme sains.
- Des SBOM CycloneDX et SPDX pour chaque analyse.
- Un enrichissement CISA KEV, FIRST EPSS, NVD et ENISA EUVD sur les constats, les vulnérabilités connues pour être exploitées étant signalées.
Questions fréquentes
Que signifie OT dans cybersécurité OT ?
Technologie opérationnelle (operational technology) : le matériel et les logiciels qui surveillent et commandent des équipements et des processus physiques, par opposition aux technologies de l’information, qui traitent des données. Les systèmes de contrôle industriels sont le cœur de l’OT.
La cybersécurité OT est-elle la même chose que la sécurité des ICS ?
En grande partie. La sécurité des systèmes de contrôle industriels (ICS) est le cœur de la cybersécurité OT. L’OT est le terme le plus large : il couvre aussi la gestion technique des bâtiments, les systèmes de transport, le contrôle d’accès physique et d’autres systèmes qui agissent sur le monde physique. On parle aussi de cybersécurité industrielle.
Quelles normes s’appliquent à la cybersécurité OT ?
La série ISA/IEC 62443 est la référence internationale, et le NIST SP 800-82 Rev. 3 est un guide largement utilisé. Dans l’UE, NIS2 fixe des obligations pour les entités de nombreux secteurs, et le règlement sur la cyberrésilience couvre les produits comportant des éléments numériques, dont de nombreux composants industriels.
Puis-je analyser des réseaux OT avec un scanner de vulnérabilités IT ?
Pas sur des systèmes de production en fonctionnement sans de grandes précautions : les analyses actives peuvent surcharger ou arrêter d’anciens contrôleurs. Les équipes OT préfèrent généralement la surveillance passive, les analyses en environnement de test ou l’analyse du firmware et des logiciels avant leur déploiement.
KROMSE est-il une plateforme de cybersécurité OT ?
Non. KROMSE ne surveille ni les réseaux d’usine ni les protocoles industriels. Il détecte les vulnérabilités connues dans les logiciels et le firmware basé sur Linux des appareils connectés et produit des SBOM, ce qui soutient le volet appareils d’un programme de cybersécurité OT.